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Vorrichtung und Verfahren zur redundanten Spannungsversorgung 



5 Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur 
redundanten Spannungsversorgung sicherheitsrelevanter Syste- 
ms , insbesondere in Kraftfahrzeugen. 

Zur Sicherstellung der Versorgung sicherheitsrelevanter Sys- 
10 teme, insbesondere in Kraftfahrzeugen, sind bisher verschie- 
dene Systeme mit redundanter Spannungsversorgung vorgeschla- 
gene worden. 

Die WO 99/42331 offenbart eine Spannungsversorgungsschaltung 
15 fiir sicherheitsrelevante Systeme, wie beispielsweise elektri- 
sche Bremsen, in Kraftfahrzeugen, bei der den Systemen eigene 
Zusatzbatterien zugeordnet sind, die mit Hilfe einer Lade- 
schaltung und Umschalteinheit sowie Uber Mittel zur Oberwa- 
chung und Verteilung der elektrischen Energie mit einer Bord- 
20 netzbatterie und/oder dem Generator verbindbar sind. Im tibli- 
chen Betrieb werden die sicherheitsrelevanten Systeme aus der 
ihnen zugeordneten Zusatzbatterie versorgt, bei einem Defekt 
der Zusatzbatterie oder bei einer zu stark entladenen Zusatz- 
batterie erfolgt eine Umschaltung und die sicherheitsrelevan- 
25 ten Systeme werden direkt aus der Bordnetzbatterie versorgt. 
Aufgrund dieser Umschaltung bei nicht mehr ausreichender E- 
nergie der Zusatzbatterie auf die Bordnetzbatterie wird auf 
eine Oberwachungsschaltung fUr die Zusatzbatterie verzichtet. 



sicherheitsrelevanter Systeme 
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Weiterhin ist aus der DE 100 53 584 Al eine redundant e Span- 
nungsversorgung fiir sicherheitsrelevante Verbraucher bekannt. 
Diese Einrichtung weist eine im Bordnetz angeordnete erste 
Spannungsversorgung und eine zweite Spannungsversorgung auf, 
wobei die erste und zweite Spannungsversorgung tiber ein Ent- 
kopplungselement verbunden sind. Das Entkopplungselement, 
beispielsweise eine Diode, einen Schalter mit Stromrichtungs- 
erkennung Oder Feldef fekttransistoren mit einer internen 
Kurzschlussstromerkennung, gewahrleistet einen gerichteten 
Stromfluss von der erst en zur zweiten Spannungsversorgung. 
Zudem sind die erste Spannungsversorgung ein zweites Entkopp- 
lungselement und die zweite Spannungsversorgung tiber ein 
drittes Entkopplungselement mit dem sicherheitsrelevanten 
Verbraucher verbunden und stellen einen gerichteten Strom- 
fluss sicher. Wenn die Spannung der ersten Spannungsversor- 
gung unter die der zweiten Spannungsversorgung failt, wird 
das Entkopplungselement durchlMssig, so das s die zweite Span- 
nungsversorgung die Spannungsversorgung des sicherheitsrele- 
vanten Verbrauchers tibernimmt. 

Schliefilich ist aus der DE 198 55 245 Al eine redundante 
Spannungsversorgung far elektrische Verbraucher in einem 
Fahrzeugbordnetz angeben, die insbesondere bei elektrisch be- 
tatigbaren Bremsen zum Einsatz kommt. Zur Sicherstellung der 
Spannungsversorgung wird der elektrische Verbraucher aber 
Trennmodule gleichzeitig an zwei getrennte Spannungszweige 
angeschlossen, die aber Lade-Trennmodule jeweils mit einem 
eigenen Spannungsspeicher in Verbindung stehen. Falls in ei- 
nem Versorgungszweig ein Fehler auftritt, der die Spannungs- 
versorgung far den Verbraucher gefahrdet, wird dieser Versor- 
gungszweig mittels geeigneter Umschaltmittel geaffnet und die 
Spannungsversorgung nur noch vom f unktionsf ahigen Spannungs- 
zweig abernommen. Trennmodule und Lade-Trennmodule kOnnen in 
einem Batteriestecker integriert sein. 

Somit bietet der vorstehend angefahrte Stand der Technik ver- 
schiedene Lttsungen zur Verbesserung der Ausf allsicherheit bei 
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sicherheitsrelevanten Systemen, namlich im Fall eines Aus- 
falls der Spannungsversorgung, durch den beispielsweise bei 
einer elektrohydraulischen Bremse (EHB) einer elektrohydrau- 
lischen Lenkung (EHL) , usw. ohne Ruckf allebene keine Brems- 
5 bzw, Lenkwirkung mehr vorhanden wSre, indem eine Umschaltung 
auf eine Ersatzenergieversorgung erfolgt. 

Jedoch ist in diesen herkommlichen Ausf Uhrungsf ormen keine 
Sicherheitsfunktion ausgebildet^ durch die auch ein Ausfall 

10 der Ansteuerlogik kompensiert werden kSnnte^ der ebenfalls zu 
einem vollstandigen Ausfall von sicherheitsrelevanten Syste- 
men, wie beispielsweise der elektrohydraulischen Bremse 
(EHB) , der elektrohydraulischen Lenkung (EHL), usw. fuhren 
kann, da dann eine Umschaltung im Fall eines Spannungsausfall 

15 nicht mehr erfolgen kann. Herkommlich werden nSmlich bestimm- 
te Spannungen im Fahrzeug Uber angesteuerte Relais dem Bord- 
netz zur VerfUgung gesteht und exklusiv angesteuert. 

Daher ist es Aufgabe der vorliegenden Erfindung, eine Vor- 
20 richtung zur redundanten Spannungsversorgung sicherheitsrele- 
vanter Systeme auszubilden, mit der auf einfache Weise und 
kostengUnstig sowohl ein Ausfall der Spannungsversorgung als 
auch ein Ausfall der Ansteuerlogik zur Umschaltung im Fall 
eines Aus falls der Spannungsversorgung kompensiert werden 
25 kann. 

Diese Aufgabe wird durch eine Vorrichtung zur redundanten 
Spannungsversorgung sicherheitsrelevanter Systeme mit den 
Merkmalen von Anspruch 1 sowie ein Verfahren zur redundanten 
30 Spannungsversorgung sicherheitsrelevanter Systeme mit den 
Merkmalen von Anspruch 3 gel5st. 

Bei der erf indungsgemaiien Vorrichtung und dem erf indungsgema- 
fien Verfahren erfolgt somit nun sowohl eine Oberwachung, ob 
35 verschiedene Spannungen an sicherheitsrelevanten Systemen 
vorhanden sind, als auch eine Oberwachung, ob ein Einschalten 
einer Spannung durch eine erste Ansteuereinrichtung und/oder 
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eine zweite Ansteuereinrichtung als erste Ruckf allebene er- 
folgt ist^ und im Falle eines Ausfalls der ersten und zweiten 
Ansteuereinrichtung das Einschalten der Spannung durch eine 
dritte Ansteuereinrichtung. 

Auf diese Weise wird die Verfiigbarkeit der Spannungsversor- 
gung bei Zundung ,,ein^^ erh5ht und durch die Ausbildung von 
zwei RUckfallebenen, durch die ebenfalls das Umschalten er- 
folgen kann, eine erhebliche Erhohung der Ausfallsicherheit . 

Daruber hinaus stellt die erf indungsgemalSe Vorrichtung zur 
redundanten Spannungsversorgung sicherheitsrelevanter Systeme 
eine aulSerst kostengtinstige Losung dar, da die einzelnen An- 
steuereinrichtungen zur Ansteuerung exklusiver Relais fur je- 
weils eine Spannungsversorgung bereits in herkommlichen Vor- 
richtungen ausgebildet sind^ zusStzlich lediglich die Verbin- 
dung und der Informationsaustausch uber Kommunikationskanale, 
wie beispielsweise den CAN-Bus realisiert und eine Ansteue- 
rung aller Relais durch jede der Ansteuereinrichtungen ermog- 
licht werden muss. 

Diese und weitere Aufgaben^ Merkmale und Vorteile der Erfin- 
dung werden nachfolgend unter Bezugnahme auf die Zeichnung 
genauer erlautert. 

Dabei zeigen: 

Fig. 1 ein vereinf achtes Blockschaltbild der erf indungsgemSi- 
JJen Vorrichtung zur redundanten Spannungsversorgung 
sicherheitsrelevanter Systeme und 

Fig. 2 mit Fig. 2a und 2b ein Ablauf diagramm, das den Funk- 
tionsablauf des erf indungsgemSBen Verfahrens zur re- 
dundanten Spannungsversorgung sicherheitsrelevanter 
Systeme veranschaulicht - 
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Im folgenden wird nun zunSchst unter Bezugnahme auf Fig, 1 
genauer auf den vereinf achten Aufbau der erf indungsgemafien 
Vorrichtung zur redundanten Spannungsversorgung eingegangen. 

5 

In Fig. 1 ist mit 11 ein CAN-Bus^ als ein Beispiel ftir Kommu- 
nikationskanale^ bezeichnet^ tiber den Koinmunikationssignale 
tibertragen werden. Die erf indungsgemaBe Vorrichtung zur re- 
dundanten Spannungsversorgung weist eine erste Ansteuerein- 

10 richtung 1 auf, die uber eine Leitung Spl das Vorhandensein 
einer Spannung an einem oder mehreren sicherheitsrelevanten 
System (en) 5 uberwacht und beim Fehlen einer dort anliegenden 
Spannung tiber ein Steuersignal Stl ein oder mehrere in einer 
Relaiseinheit 4 enthaltene Relais ansteuern kann, so dass an- 

15 schliefiend wieder eine Spannung an dem/den sicherheitsrele- 
vanten System (en) 5 anliegt. Zusatzlich gibt die erste An- 
steuereinrichtung 1 eine Anforderungsbotschaf t Anfl an den 
can-Bus ll aus^ wenn eine Ansteuerung eines oder mehrere Re- 
lais in der Relaiseinheit 4 erfolgen soil, um eine Spannungs- 

20 versorgung des/der sicherheitsrelevanten Systeme 5 wiederher- 
zustellen. Ober diese Relais der Relaiseinheit 4 wird eine 
Spannungsversorgung fur sicherheitsrelevante elektrische Sys- 
teme 5, wie beispielsweise eine elektrohydraulische Bremse 
(EHB) , eine elektrohydraulische Lenkung (EHL) , usw., ein- und 

25 ausgeschaltet . 

Weiterhin umfasst die erf indungsgemSfie Vorrichtung eine zwei- 
te Ansteuereinrichtung 2, die Uber eine Leitung Sp2 das Vor- 
handensein einer Spannung an dem einen oder mehreren sicher- 

30 heitsrelevanten System (en) 5 uberwacht und beim Fehlen einer 
dort anliegenden Spannung ebenfalls die Relais in der Relais- 
einheit 4 ansteuern kann. Wenn die zweite Ansteuereinrichtung 
2 die Anforderungsbotschaft Anfl von der ersten Ansteuerein- 
richtung 1 Uber den CAN-Bus 11 empf^ngt, uberpriift sie, ob 

35 ein Schalten der Relaiseinheit 4, d.h. eine Wiederherstellung 
der Spannungsversorgung des einen oder mehrerer sicherheits- 
relevanter Systeme 5, durch die erste Ansteuereinrichtung 1 
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ausgelost wurde und erfolgt ist. Falls kein Schalten der Re- 
laiseinheit 4 erfolgt ist und zusStzlich uber die Leitung Sp2 
ermittelt wird, dass an dem/den sicherheitsrelevanten Sys- 
tem (en) 5 keine Spannung anliegt, erfolgt eine Ansteuerung 
5 des/der Relais in der Relaiseinheit 4, um eine Spannung sver- 
sorgung wieder herzustellen^ durch die zweite Ansteuerein- 
richtung. Aufierdem ist die zweite Ansteuereinrichtung 2 der- 
art ausgebildet^ dass sie in einem Fall^ in dem sie trotz 
fehlender Spannung an dem/den sicherheitsrelevanten Sys- 
10 tern (en) 5 kein Schalten des/der Relais in der Relaiseinheit 4 
bewirken kann, eine Anf orderungsbotschaf t Anf2 auf den CAN- 
Bus 11 legt. 

ErgSnzend zu diesen beiden ersten und zweiten Ansteuerein- 
15 richtungen 1 und 2 ist aufierdem eine dritte Ansteuereinrich- 
tung 3 ausgebildet, die Uber eine Leitung Sp3 das Vorhanden- 
sein einer Spannung an dem einen oder raehreren sicherheitsre- 
levanten System (en) 5 liberwacht und beim Fehlen einer dort 
anliegenden Spannung ebenfalls die Relais in der Relaisein- 
20 heit 4 ansteuern kann. Im Fall, dass die Ansteuereinrichtung 
3 sowohl eine Anf orderungsbotschaf t Anfl von der ersten An- 
steuereinrichtung 1 als auch eine Anf orderungsbotschaf t Anf2 
von der zweiten Ansteuereinrichtung 2 uber den CAN-Bus emp- 
fangt und das Fehlen einer Spannung an dem/der sicherheitsre- 
25 levanten System (en) 5 erf asst. steuert die Ansteuereinrich- 
tung 3 die Relaiseinheit 4 derart an, das ein Umschalten 
des/der Relais erfolgt, so dass eine Spannungsversorgung 
des/der sicherheitsrelevanten Systeme 5 wieder hergestellt 
wird. 

30 

Nachfolgend wird nun unter Bezugnahme auf Fig. 2 mit den Fig, 
2a und 2b auf das erf indungsgemaJie Verfahren zur redundanten 
Spannungsversorgung sicherheitskritischer Systeme naher ein- 
gegangen. 

35 

Zu Beginn wird in Schritt SI durch die Ansteuereinrichtung 1 
tiber eine Leitung Spl tiberwacht, ob an einem oder mehreren 
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sicherheitsrelevanten Systemen 5 eine Spannung erfassbar ist. 
Sollte dies der Fall sein, ist der Ablauf beendet und es wird 
wieder zum Beginn (Oberwachung) zuriickgekehrt . 

Wenn in Schritt SI festgestellt wird, dass an einem oder meh- 
reren sicherheitsrelevanten Systemen 5 keine Spannung an- 
liegt, steuert die erste Ansteuereinrichtung 1 in Schritt S2 
die Relaiseinheit 4 durch ein Steuersignal Stl an, so dass 
wieder eine Spannung an das/die sicherheitsrelevante (n) Sys- 
tem (e) angelegt wird. Ansonsten endet der Ablauf nach Schritt 
SI. 

AnschlieJiend wird in Schritt S3 eine Anf orderungsbotschaft 
Anfl, die aussagt, dass die Umschaltung des Relais zur Span- 
nungsversorgung erforderlich ist, auf den CAN-Bus 11 ausgege- 
ben. Diese Anf orderungsbotschaft Anfl wird in Schritt 84 
durch die zweite Ansteuereinrichtung 2 empfangen. Daraufhin 
Oberprtift die zweite Ansteuereinrichtung 2 in Schritt S5, ob 
das Ansteuern/Umschalten der Relaiseinheit 4 durch die erste 
Ansteuereinrichtung 1 erfolgreich war. Falls dies der Fall 
ist, endet der Ablauf. Ansonsten schreitet der Ablauf zu ei- 
nem Schritt S6 fort, in dem aber eine Leitung Sp2 festge- 
stellt wird, Ob eine Spannung an einem oder mehreren sicher- 
heitsrelevanten Systemen 5 anliegt. Im positiven Fall endet 
der Ablauf, in negativen Fall wird zu einem Schritt S7 fort- 
geschritten, in dem tiberprtift wird, ob ein Ansteuern/Schalten 
der Relaiseinheit 4 durch die zweite Ansteuereinheit 2 m5g- 
lich ist. Wenn das Ansteuern/Schalten in Schritt S7 als mOg- 
lich beurteilt wird, erfolgt anschlieflend in Schritt S8 Qber 
das Steuersignal St2 das Ansteuern/Schalten der Relaiseinheit 
4 durch die zweite Ansteuereinrichtung 2 und dann endet der 
Ablauf. 

Wenn ein Ansteuern/Schalten der Relaiseinheit 4 durch die 
zweite Ansteuereinrichtung 2 aus irgendwelchen GrUnden, bei- 
spielsweise eine Unterbrechung der Leitung ftir das Steuersig- 
nal st2 nicht m5glich ist, gibt die zweite Ansteuereinrich- 
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tung 2 in einem Schritt S9 eine Anf orderungsbotschaf t Anf2 
auf den CAN-Bus 11 aus. Diese Anf orderungsbotschaf t Anf 2 der 
zweiten Ansteuereinrichtung 2 wird in Schritt SlO zusaimnen 
mit der Anf orderungsbotschaft Anfl der ersten Ansteuerein- 
5 richtung 1 durch die dritte Ansteuereinrichtung 3 empfangen. 
Daraufhin erfolgt in Schritt Sll durch ein Steuersignal St3 
ein Ansteuern/Schalten der Relaiseinheit 4 durch dritte An- 
steuereinrichtung 3. Danach endet der Ablauf. 

10 Die vorstehend beschriebene erf indungsgemSBe Vorrichtung und 
das Verfahren zur redundanten Spannungsversorgung sicher- 
heitsrelevanter Systeme ist kostengunstig zu realisieren, da 
die einzelnen Ansteuereinrichtungen zur Ansteuerung exklusi- 
ver Relais ftir jeweils eine Spannungsversorgung bereits in 

15 herkammlichen Vorrichtungen ausgebildet sind, zusStzlich le- 
diglich die Verbindung und der Inf ormationsaustausch uber den 
can-Bus, als ein Beispiel fClr Kommunikationskanaie, wie bei- 
spielsweise auch Steuerleitungen, LIN, usw., realisiert und 
eine Ansteuerung aller Relais durch jede der Ansteuereinrich- 

20 tungeh erm5glicht werden muss. 

Auf diese Weise kann einfach, ohne groUen zusatzlichen Schal- 
tungs- Oder Bauteilaufwand und kostengunstig eine zuverlSssi- 
ge Vorrichtung und ein Verfahren zur redundanten Spannungs- 
25 versorgung sicherheitsrelevanter Systeme verwirklicht werden. 

Der Vorteil der erf indungsgemafien Vorrichtung und des Verfah- 
rens zur redundanten Spannungsversorgung sicherheitsrelevan- 
ter Systeme liegt dabei in der zweifachen Redundanz zum 
30 Schalten der Relais. Eine Sicherstellung spezieller Span- 
nungsversorgungen fUhrt zu einer hdheren Verf tigbarkeit von 
sicherheitskritischen Systemen, 

Selbstverstandlich versteht sich ftir den Fachmann, dass an- 
35 stelle der im bevorzugten Ausf uhrungsbeispiel verwendeten 
drei Ansteuereinrichtungen auch mehr Ansteuereinrichtungen o- 
der jeweils 3 Ansteuereinrichtungen aus einer Vielzahl von im 
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Fahrzeug vorhandenen Ansteuereinrichtungen fur Relais verwen- 
det werden konnen. 



P034397/DE/1 



10 



DaimlerChrysler AG Gmeiner 

31,07.2002 



PatentansprUche 



5 1. Vorrichtung zur redundanten Spannungsversorgung sicher- 

heitsrelevanter Systeme, insbesondere in Kraf tf ahrzeugen, 
mit : 

mindestens einer ersten Ansteuereinrichtung (1), einer 
zweiten Ansteuereinrichtung (2) und einer dritten Ansteu- 
10 ereinrichtung (3), die jeweils zur Ansteuerung von Relais 

in einer Relaiseinheit (4) zur Umschaltung von Spannungs- 
versorgungen sicherheitsrelevanter Systeme (5) ausgebil- 
det sind, 

dadurch gekennzeichnet, 
15 dass 

die Ansteuereinrichtungen (1, 2, 3) mit einem Kommunika- 
tionskanal (11) in Verbindung stehen, 

die erste und zweite Ansteuereinrichtung (1, 2) jeweils 
eine Einrichtung zur Oberwachung einer an den sicher- 
20 heitsrelevanten Systemen (5) anliegenden Spannung aufwei- 

sen^ 

die erste Ansteuereinrichtung (1) im Fall/ dass die Ein- 
richtung zur Oberwachung einer an den sicherheitsrelevan- 
ten Systemen (5) anliegenden Spannung erkennt^ dass keine 

25 Spannung anliegt, einen Schaltvorgang der Relaiseinheit 

(4) ansteuern und eine Anf orderungsbotschaf t (Anfl) auf 
den Kommunikationskanal (11) ausgeben kann; 
die zweite Ansteuereinrichtung (2) eine Einrichtung zur 
OberprQfung, ob ein Ansteuerung und Schalten der Relais- 

30 einheit (4) durch die erste Ansteuereinrichtung erfolgt 

ist/ aufweist/ und im Fall, dass die Einrichtung zur 0- 
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berprufung festgestellt hat, dass keine Ansteuerung oder 
ein Schalten durch erste Ansteuereinrichtung erfolgt ist, 
und die Einrichtung zur Oberwachung einer an den sicher- 
heitsrelevanten Systemen (5) anliegenden Spannung er- 
5 kennt, dass keine Spannung anliegt, einen Schaltvorgang 

der Relaiseinheit (4) ansteuern kann und, falls eine An- 
steuerung eines Schaltvorgangs der Relaiseinheit (4) 
nicht m5glich ist, eine weitere Anf orderungsbotschaf t 
(Anf2) auf den Koiranunikationskanal (11) ausgeben kann, 
10 und 

die dritte Ansteuereinrichtung (3) die Anf orderungsbot- 
schaf ten (Anfl, Anf 2) von der ersten und zweiten Ansteu- 
ereinrichtung (1, 2) vom Komitiunikationskanal (11) empfan- 
gen und bei Empfang beider Anf orderungsbotschaf ten (Anfl, 
15 Anf 2) einen Schaltvorgang der Relaiseinheit (4) ansteuern 

kann. 

2. Vorrichtung nach Anspruch 1, 

dadurch gekennzeichnet, 
20 dass 

anstelle der Relaiseinheit (4) mit Relais auch eine ande- 
re Einheit zur Umschaltung von Spannungen verwendet wer- 
den kann . 



25 

3. Vorrichtung nach Anspruch 1 oder 2, 

dadurch gekennzeichnet, 
dass 

der Koiranunikationskanal (11) ein CAN-Bus ist. 



4. Verfahren zur redundanten Spannungsversorgung sicher- 

heitsrelevanter Systeme, insbesondere in Kraf tf ahrzeugen, 
gekennzeichnet durch 
35 die Schritte: 

(SI) tiberwachen, ob an einem oder mehreren sicherheitsre- 
levanten Systemen (5) eine Spannung erfassbar ist, tiber 
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eine erste Leitung (Spl) durch eine erste Ansteuerein- 
richtung (1); Rtickkehr zum Beginn, wenn dies der Fall 
ist ; 

(52) wenn in Schritt SI festgestellt wird, dass an einer 
Oder mehreren sicherheitsrelevanten Systemen (5) kelne 
Spannung anliegt, Ansteuern einer Relaiseinheit (4) durch 
ein erstes Steuersignal (Stl) durch die erste Ansteuer- 
einrichtung (1), so dass wieder eine Spannung an das/die 
sicherheitsrelevante (n) System (e) (5) angelegt wird; 

(53) Ausgeben einer ersten Anf orderungsbotschaf t (Anfl), 
die aussagt, dass die Umschaltung ztunindest eines Relais 
der Relaiseinheit (4) zur Spannungsversorgung erforder- 
lich ist, auf einen Koinmunikationskanal (11) durch die 
erste Ansteuereinrichtung (1); 

(54) Empfangen der ersten Anf orderungsbotschaf t (Anfl) 
durch die zweite Ansteuereinrichtung (2) ; 

(s5) Oberpriifen, ob die Ansteuerung /Umschaltung der Re- 
laiseinheit (4) durch die erste Ansteuereinrichtung (1) 
erfolgreich war, durch die zweite Ansteuereinrichtung 
(2); falls dies der Fall ist, Rilckkehr zum Beginn; 

(56) Festgestellen, ob eine Spannung an einer oder mehre- 
ren sicherheitsrelevanten Systemen (5) anliegt, liber ein 
zweite Leitung (Sp2) durch die zweite Ansteuereinrichtung 
(2); im positiven Fall Ruckkehr zum Beginn; 

(57) im negativen Fall Oberprufen, ob eine Ansteue- 
rung/ein Schalten der Relaiseinheit (4) durch die zweite 
Ansteuereinheit (2) m5glich ist; 

(58) wenn die Ansteuerung/das Schalten in Schritt S7 als 
m5glich beurteilt wird, Uber ein zweites Steuersignal 

(St2) Ansteuern/Schalten der Relaiseinheit (4) durch die 
zweite Ansteuereinrichtung (2) , dann Ruckkehr zum Beginn; 

(59) wenn ein Ansteuern/Schalten der Relaiseinheit (4) 
durch die zweite Ansteuereinrichtung (2) aus irgendwel- 
Chen Griinden, wie beispielsweise eine Unterbrechung der 
Leitung ftir das zweite Steuersignal, nicht m^Jglich ist, 
Ausgeben einer zweiten Anf orderungsbotschaf t (Anf 2) auf 
den Kommunikationskanal (11) durch die zweite Ansteuer- 
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einrichtung (2) ; 

(510) Empfangen der zweiten Anf orderungsbotschaf t (Anf2) 
der zweiten Ansteuereinrichtung (2) zusammen mit der ers- 
ten Anforderungsbotschaft (Anfl) der ersten Ansteuerein- 
richtung (1) durch die dritte Ansteuereinrichtung (3); 

(511) Ansteuern/Schalten der Relaiseinheit (4) durch die 
dritte Ansteuereinrichtung (3) durch ein drittes Steuer- 
signal (St 3) ; anschliefiend RUckkehr zum Beginn. 



• 
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Ansteuerung Relaiseinheit 
durch 1. Ansteuereinrichtung 

i 



Ausgabe Anfordenmgsbotschaft 
durch L Ansteuereinrichtung 



Empfang Anforderungsbotsch. 
durch 2. Ansteuereinrichtung 



Ansteuerung Relais- 
einheit erfolgreich? 



S5 
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S4 



Ja 



Ende ^ 



Nein 



$^^mung an sicn^ 
'heitsrelevantCT Einrichtun^ 
er&ssbar? 
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Ende~^ 



Fig. 2a 
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Ansteuenmg/Schalten 
Relaiseinheit durch 
1. Ansteinr. mSglidi^ 

Nein 



Ausgabe Anforderungsbotschaft 
durch 2. Ansteuereinrichtung 



Empfang Anforderungsbotschaft 
d. 1. und 2. Ansteueremrichtung 
durch 3. Ansteueremrichtung 



Ansteuerung/Schalten 

Relaisemheit durch 
3. Ansteueremrichtung 
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Ende ^ 



Ja 
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Ansteuerung/Schalten 
Relaisemheit durch 
2. Anst.einr. 



S9 



^ Ende ^ 



SIO 
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Fig. 2b 
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Zusammenf assun g 

Die vorliegende Erfindung offenbart eine Vorrichtung und ein 
Verfahren zur redundanten Spannungsversorgung sicherheitsre- 
levanter Systeme, insbesondere in Kraf tfahrzeugen. Es wird 
5 sowohl ein Ausfall einer Spannungsversorgung an sicherheits- 
relevanten Systemen erkannt und daraufhin eine Umschaltung 

f auf eine andere Spannungsversorgung veranlasst^ als auch si- 
chergestellt, dass auch bei einem Ausfall von einer Oder zwei 
Ansteuereinrichtungen zur Spannungsumschaltung eine Riickfall- 

10 ebene vorhanden ist, durch die dann die Spannungsumschaltung 
ubernoininen wird. Auf diese Weise wird sowohl bei einem Aus- 
fall einer Spannungsversorgung sicherheitsrelevanter Systems 
als auch bei einem Ausfall von Ansteuereinrichtungen sicher- 
gestellt, dass dennoch eine Spannungsumschaltung erfolgt und 

15 auf diese Weise die Verf tigbarkeit sicherheitsrelevanter Sys- 
teme erheblich verbessert wird. 
(Fig. 1) 



